en crisisbeheersing

Cybersecurity en Alert Online
Vooruitkijken: het EU-voorzitterschap
Tijdens de Global Conference on Cyber Space hebben we de
bouwblokken voor een internationaal publiek gepresenteerd.
Tegelijkertijd worden ook op Europees niveau de krachten gebundeld.
Naast de bestaande Europese Financial Institutions ISAC zijn er
ook Europese initiatieven om een Energy ISAC en een Aviation ISAC op
te zetten. Verder hebben verschillende Europese landen aangegeven
te geloven in publiek-private informatiedeling. Mede hierdoor is
publiek-private samenwerking tijdens het aankomende
Nederlandse EU-voorzitterschap één van de prioriteiten.
Cyberinsecurity houdt zich namelijk niet aan organisatieplaatjes
en landsgrenzen.
Verregaande update ICT-beveiligingsrichtlijnen
Webapplicaties
■■
Michiel Oosterwijk
Nationaal Cyber Security Centrum
Begin september heeft het Nationaal Cyber Security Centrum (NCSC)
een update uitgebracht van de ICT-Beveiligingsrichtlijnen voor
Webapplicaties 1 (hierna aangeduid als de Richtlijnen).
De Richtlijnen werden voor het eerst gepubliceerd in februari 2012.
De Richtlijnen werden direct breed opgepakt en onder andere
toegepast als basis voor het normenkader dat het Ministerie van BZK
opstelde voor partijen die gebruik willen maken van DigiDauthenticatiediensten.
De Richtlijnen zijn bedoeld voor een brede
doelgroep:
• systeemeigenaren en securitymanagers van websites of
webapplicaties;
• ontwikkelaars en beheerders van webapplicaties;
• controlerende instanties, zoals IT-auditors.
De Richtlijnen kunnen zowel grote als kleinere organisaties helpen
hun webapplicaties beter te beveiligen.
Door de veelvuldige praktijktoepassing van de Beveiligingsrichtlijnen
heeft het NCSC veel bruikbare verbetersuggesties ontvangen.
Deze hebben, samen met nieuwe ontwikkelingen op het gebied van
kwetsbaarheden en dreigingen, uiteindelijk geleid tot een grondige
herziening.
De structuur 2 van de Richtlijnen is ingrijpend gewijzigd. De
Richtlijnen zijn opgedeeld in drie domeinen: Beleid, Uitvoering en
Beheersing. Elk domein bevat een aantal relevante richtlijnen die
elk bijdragen aan het verbeteren van de beveiliging van webapplicaties.
Iedere richtlijn kent maatregelen die kunnen worden toegepast
om aan de richtlijn te voldoen. Hierbij is de overlap met veelgebruikte
beveiligingsstandaarden en baselines (bij voorbeeld ISO
27002 en overheidsbaselines als BIR en BIG) zo beperkt mogelijk
gehouden. Door de nieuwe structuur kunnen richtlijnen en
bijbehorende maatregelen op eenvoudige wijze worden toegekend
aan verschillende (voor het beschikbaar stellen van een webapplicatie)
betrokken personen of afdelingen.
Daarnaast zijn ook inhoudelijk de nodige richtlijnen gewijzigd
of toegevoegd en is een aanzienlijk aantal nieuwe maatregelen
opgenomen. Om de vele gebruikers van de vorige versie behulpzaam
te zijn, bevatten de Richtlijnen een bijlage die voor iedere
oude richtlijn een vertaling geeft naar de nieuwe richtlijnen en
maatregelen.
1
https://www.ncsc.nl/actueel/whitepapers/ict-beveiligingsrichtlijnen-voorwebapplicaties.html
2
Conform de SIVA-methodiek voor auditreferentiekaders.
24 | Magazine nationale veiligheid en crisisbeheersing 2015 - nr. 5